Sign-in at mga password

Piliin kung paano mag-sign in ang mga tao: haba ng password, shortcut sa home network, at sign-in mula sa labas. Ang may-ari lang ang puwedeng magbago nito, sa Settings > Sign-in and security (sign-in at seguridad).

Itakda ang pinakamaikling password

1. Buksan ang Settings > Sign-in and security > Passwords (mga password).
2. I-type ang numero mula 4 hanggang 64. Ang default ay 8.
3. Pindutin ang Save (i-save). Dapat manatili ang bagong numero pagkatapos mong mag-reload.

Ang minimum ay para sa bawat bagong password: ang unang may-ari, mga tinanggap na imbitasyon, mga pagbabago sa My account (aking account) at holyarrs reset-owner. Gagana pa rin ang mga dating password hanggang sa susunod nilang pagbabago. Ang pinakamahabang password ay 1024 na character.

Caution

Pinapabagal ng HolyArrs ang paulit-ulit na maling sign-in, pero madaling hulaan pa rin ang maikling password. Kung maaabot ang HolyArrs mula sa labas ng bahay mo, gumamit ng 12 o higit pa.

Laktawan ang sign-in sa lokal kong network

Ang mga device sa home network mo ay makakapasok sa HolyArrs bilang may-ari, nang walang password. Naka-off bilang default.

1. Buksan ang Settings > Sign-in and security > Local network (lokal na network).
2. Ilista ang mga network mo, isa bawat linya, hanggang 32. Gumamit ng range (192.168.1.0/24, fd00::/8) o isang address (192.168.1.20).
3. I-on ang switch at i-save. Dapat makita mo ang sarili mong address sa card.

Hindi puwedeng naka-on ang switch kung walang laman ang listahan, o habang may umiiral na Kid account. Humihingi pa rin ng password ang paggawa ng API key, pagbabago ng mga setting sa sign-in, pagbasa o pagpalit ng mga secret at pag-restore ng backup.

Suriin muna ang address

May mga setup na nagpapakitang iisang gateway address ang lahat ng device: Docker Desktop, rootless Docker o Podman, at Kubernetes NodePort. Ang mga karaniwan ay 172.17.0.1, 172.18.0.1 pataas, 10.88.0.1, 10.89.x.1, 10.0.2.2 at 192.168.65.x.

Kapag naglista ka ng isa sa mga iyon, makakapasok bilang may-ari ang sinumang makaabot sa HolyArrs. Nagbababala ang card kapag mukhang ganoon ang isang entry. Buksan ang page mula sa pangalawang device: kung pareho ang address na lumalabas, i-off ang switch at alisin ang entry na iyon.

Kapag nasa likod ng reverse proxy, binabasa lang ng HolyArrs ang forwarded address mula sa mga proxy sa HOLYARRS_TRUSTED_PROXIES. Kung hindi, walang address na ipapakita ang card at sasabihin nitong hindi pinagkakatiwalaan ang proxy.

Single sign-on

Isang OpenID Connect provider ang puwedeng magpa-sign in ng mga tao. Lalabas ito bilang button sa sign-in page.

1. Buksan ang Settings > Sign-in and security > Single sign-on.
2. I-type ang issuer ng provider at pindutin ang Test (subukan). Walang secret na ipinapadala para sa test.
3. I-type ang client id at client secret. Lagyan ng tsek ang Public client (pampublikong client) kung walang secret ang provider.
4. Kopyahin ang Callback address (address ng callback) at irehistro ang eksaktong address na iyon sa provider.
5. I-type ang password mo, pati two-factor code kung gumagamit ka nito, at pindutin ang Save. Hinihingi ito sa bawat pagbabago.

Pagkatapos, i-link ang sarili mong account: mag-sign in gamit ang password mo, buksan ang My account, sa ilalim ng Linked sign-ins (mga naka-link na sign-in) pindutin ang Link (i-link), kumpirmahin ang password mo, at piliin ang Single sign-on.

Tip

Magtabi ng gumaganang password ng may-ari. Kung down ang provider, gagana pa rin ang sign-in gamit ang password.

Mga pagpipilian

Hayaang sumali ang mga bagong tao gamit ang single sign-on

Naka-off bilang default. Kapag naka-on, magkakaroon ng account ang sinumang i-sign in ng provider, kaya hihingin ng HolyArrs na kumpirmahin mo. Sumasali ang mga bago bilang miyembro na puwede lang humiling. Hindi kailanman gagawa ng may-ari o admin ang single sign-on.

Baguhin ang issuer o client id

I-type mo ulit ang secret. Aalisin ang mga lumang link at masa-sign out ang lahat ng gumamit ng single sign-on. Magli-link silang muli mula sa My account. Masa-sign out din sila kapag in-off mo ang single sign-on.

Mag-unlink ng sign-in

• Sa sarili mo: My account > Linked sign-ins > Unlink (i-unlink). Kailangan nito ng bagong kumpirmasyon ng password, at tatanggihan ito kung iyon lang ang paraan mo para makapasok.
• Sa iba: gagamitin ng may-ari ang Settings > Users and roles (mga user at role). Kung iyon lang ang paraan ng tao para makapasok, magtatanong ang HolyArrs nang isa pang beses.

Sine-sign out ng pag-unlink ang mga device na gumamit nito. Kung bukas ang pagsali, puwedeng bumalik ang parehong tao bilang bagong miyembro. I-off ang pagsali para hindi na siya makabalik.

Kung hindi gumana

Sintomas: humihingi ulit ng password mo ang HolyArrs. Dahilan: ang mga pagbabago sa account, key at setting ay nangangailangan ng kumpirmasyon ng password sa nakaraang 10 minuto, pati two-factor kung naka-set. Hindi ito binibilang ng sign-in mula sa labas at ng shortcut sa lokal na network. Solusyon: kumpirmahin gamit ang password mo. Hindi kailanman humihingi nito ang pag-sign out at pagtapos ng mga device.

Sintomas: nabigo ang callback na may maikling error, at nananatili kang naka-sign out. Dahilan: iba ang callback address sa provider kaysa sa HolyArrs. Solusyon: kopyahin ulit ang Callback address at i-paste ito nang eksakto sa provider.

Sintomas: hindi makapagtakda ng password ang account na ginawa sa pamamagitan ng single sign-on. Dahilan: hindi ito posible sa bersyong ito. Solusyon: gumawa muna ng lokal na may-ari, saka i-link ang single sign-on dito.

Sintomas: nang mag-sign out ka sa HolyArrs, naka-sign in ka pa rin sa provider. Dahilan: sarili lang nitong sign-in ang tinatapos ng HolyArrs. Solusyon: sa shared na device, mag-sign out ka rin sa provider.

Nawala ang password ng may-ari? Tingnan ang Mga session at password.

Para sa mga eksperto

Trusted proxy sign-in

Kung may reverse proxy nang nagpapa-sign in ng mga tao, tinatanggap ng HolyArrs ang pangalang ipinapasa nito. Itakda lang ito sa environment. Lalabas ito bilang button sa sign-in page; hindi kailanman magsa-sign in ng sinuman ang isang pagbisita mula sa mga header lang.

• Inaalis ng proxy ang papasok na Remote-User at Remote-Name at nagtatakda ng sarili nito pagkatapos mag-sign in.
• Remote-User: isang di-nagbabagong pangalan, hanggang 255 byte. Remote-Name: opsyonal na display name, hanggang 200 byte.
• Tinatanggihan ang mga paulit-ulit na value, mga pinagdugtong ng kuwit o may control character. Hindi pinapansin ang mga role header.

Panatilihing maaabot ang HolyArrs sa pamamagitan lang ng proxy na iyon. Ang pagtitiwala sa address ng isang proxy ay pagtitiwala sa bawat pangalang ipinapadala nito. I-link ito sa isang account mula sa My account > Link trusted proxy sign-in (i-link ang trusted proxy sign-in).

Mga environment variable

Itakda ang mga ito bago mag-start. Parehong naka-off ang dalawang paraan maliban kung i-on mo. Pipigilan ng maling setup ang pag-start ng HolyArrs; kapag down ang provider, gagana pa rin ang sign-in gamit ang password. Kung may anumang value ang HOLYARRS_OIDC_ENABLED, kahit false, ang environment na ang may hawak ng single sign-on at ipinapakita na lang ito ng Settings.

Variable	Ano ang ginagawa nito	Default
HOLYARRS_OIDC_ENABLED	I-on ang single sign-on	false
HOLYARRS_OIDC_ISSUER	Eksaktong HTTPS issuer ng provider	none
HOLYARRS_OIDC_CLIENT_ID	Nakarehistrong client id	none
HOLYARRS_OIDC_CLIENT_SECRET_FILE	File na may client secret, hanggang 4096 byte. Huwag ilagay para sa public client	none
HOLYARRS_OIDC_REDIRECT_URL	Eksaktong HTTPS callback: ang address mo, URL base kung mayroon, saka /api/v1/auth/oidc/callback	none
HOLYARRS_OIDC_ALLOW_JOIN	Sumasali ang mga bagong tao bilang miyembro na puwede lang humiling	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Payagan ang provider sa pribadong network mo	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Payagan ang plain HTTP sa loopback, para sa pagsubok	false
HOLYARRS_FORWARD_AUTH_ENABLED	I-on ang trusted proxy sign-in	false
HOLYARRS_FORWARD_AUTH_ISSUER	Di-nagbabagong HTTPS na pangalan para sa proxy na ito. Ang bagong value ay bibilangin bilang bagong pinanggalingan	none
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Mga address o range ng proxy na pinaghihiwalay ng kuwit. Kailangan. Tinatanggihan ang range na sumasaklaw sa lahat ng address	none
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Sumasali ang mga bagong pangalan ng proxy bilang miyembro na puwede lang humiling	false

Ang dalawang setting na ALLOW_LOCAL_NETWORK at ALLOW_LOOPBACK_HTTP ay naaangkop din sa single sign-on na itinakda sa Settings.

Paano gumagana ang single sign-on

• Dapat suportahan ng provider ang authorization code sign-in na may PKCE S256 at RS256 token, na nasa origin ng issuer ang bawat endpoint.
• Tinutugma ang mga account sa sariling account id ng provider, hindi kailanman sa email.
• Hindi ginagamit ang mga role at group ng provider.
• Naka-encrypt ang client secret at hindi na ipinapakita ulit. Iwanang walang laman ang field para panatilihin ito.

Kaugnay

• Mga user at role
• Mga session at password
• Mga kid account
• URL base at reverse proxy